Руководство по основным приемам работы в ms sql server 2014 по дисциплине

Оператор GRANT
. 
Предоставляет разрешения на выполнение действий на защищаемом объекте 
участникам. Субъект, который не получил разрешение, не может выполнить 
действие, связанное с разрешением.
Общая структура оператора может быть условно представлена, как: 
GRANT < permissions > ON < securables > TO < principals > 
Полное описание синтаксиса инструкции GRANT очень сложно, т.к. зависит 
от многих факторов: на какие защищаемые объекты, какие разрешения, кому 
даются. Например, защищаемыми объектами могут быть и OBJECT, и 
LOGIN, и DATABASE, и ROLE, и SCHEMA, и USER, причем состав 
участников, которым можно предоставлять разрешения, меняется в 
зависимости от защищаемого объекта. От защищаемых объектов зависят и 
допустимые разрешения. В одном операторе GRANT можно предоставить 
сразу несколько разрешений нескольким участникам на несколько объектов.
Можно использовать параметр ALL: 
GRANT ALL ON < securables > TO < principals > 
Этот параметр устарел и сохранен только для поддержки обратной 
совместимости. Но надо учитывать, что он не предоставляет все возможные 
разрешения: например, если защищаемым объектом является база данных, 
аргумент ALL относится только к разрешениям BACKUP DATABASE, 
BACKUP LOG, CREATE DATABASE, CREATE DEFAULT, CREATE 
FUNCTION, CREATE PROCEDURE, CREATE RULE, CREATE TABLE и 
CREATE VIEW. 
Разрешения могут быть предоставлены явным образом или могут быть 
унаследованы. Наследование разрешений применяется к основным 
иерархиям (например, если роль базы данных получает разрешение SELECT 
на схему, всем пользователям БД, которые являются членами этой роли, 
неявно предоставляется разрешение SELECT на эту схему). Также 
наследование разрешений применяется к защищаемым иерархиям (например, 
роль базы данных, которой было предоставлено разрешение SELECT на 
уровне схемы, неявно получает разрешение SELECT и на все объекты внутри 
схемы). 
Унаследованные разрешения являются накопительными. Например, если 
роли базы данных было предоставлено разрешение SELECT на схему, и 
пользователю, который является членом этой роли, явным образом было 
предоставлено разрешение UPDATE для таблицы в схеме, то пользователь 

---

64 
имеет и разрешение SELECT на таблицу (наследуется через членство в роли), 
и разрешение UPDATE (непосредственно предоставленное пользователю). 
Если оператор GRANT используется с параметром WITH GRANT OPTION, 
то получающему разрешение субъекту безопасности будет дана возможность 
предоставлять указанное разрешение другим участникам (учетным записям 
безопасности). Использовать эту опцию можно только применительно к 
объектным привилегиям и с большой осторожностью, т.к. можно потерять 
контроль над безопасностью защищаемого объекта.
Пример 1: пользователь БД 
WilJo
получает разрешение SELECT на схему 
Person
с правом предоставлять это разрешение другим пользователям БД: 
GRANT SELECT ON SCHEMA :: Person TO WilJo
WITH GRANT OPTION;
Пример 2: роли предоставляется разрешение на выполнение процедуры 
(оператор выполняет database owner): 
GRANT EXECUTE ON TestProc TO TesterRole 
WITH GRANT OPTION; 
К роли добавляем еще одного пользователя 
User1
: 
EXEC sp_addrolemember TesterRole, User1; 
Если новый пользователь попытается выполнить следующий оператор, то 
получит ошибку: 
GRANT EXECUTE ON TestProc TO User2; 
Это объясняется тем, что пользователь 
User1
не имеет разрешения на 
предоставление разрешений. Но оператор: 
GRANT EXECUTE ON TestProc TO User2 AS TesterRole; 
будет выполнен успешно, потому что
User1 
выполняет эту
 
инструкцию, как 
член роли 
TesterRole
. 
Подробную информацию надо смотреть в документации [1-3].